CLionにコード実行の脆弱性、修正版2026.2と2026.1.4
JetBrains CLionのSafe Modeで、Mesonのプロジェクト設定を介してコードが実行される脆弱性が11月6日に公表されました。CLionを使う開発者と開発組織は、修正版に更新し、出所の分からないプロジェクトを開かないでください。
急ぎ度: 早めに
CVSS v3は9.6と高く、修正版の2026.2と2026.1.4が出ているため、公表直後の今のうちに開発者の端末へ配布するのが望ましい状況です。
関係があるか
CLionで外部から受け取ったプロジェクトを開く開発者や、開発端末を管理する組織が対象です。Mesonを使うプロジェクトの設定が関係します。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| JetBrains CLion | 2026.2より前の版（2026.1系は2026.1.4より前） | 2026.2、2026.1.4 |
確かめ方
- 1CLionのメニューからHelpのAboutを開き、表示される版が2026.2または2026.1.4以降かを確認します。
- 2JetBrains Toolboxなどで開発者の端末にCLionを配布している組織は、管理画面や台帳で、2026.1.4より前の版が残っていないかを洗い出します。
- 3外部のリポジトリや取引先から受け取ったMesonプロジェクトを、これまでCLionで開いた人がいないかも、開発チームに聞いておきます。
何が起きたか
CLionには、信頼できないプロジェクトを機能を絞って開くSafe Modeがあります。このSafe Modeが有効でも、Mesonプロジェクトの設定を介して、開発者のパソコン上でコードが実行されてしまう脆弱性です。
弱点の種類はCWE-829（信頼できない領域の機能の取り込み）に分類されています。CVSS v3は9.6で、深刻度はcriticalです。JetBrainsは11月6日に公表し、2026.2と2026.1.4で修正しました。
Safe Modeは、中身の分からないプロジェクトを開いても安全にするための仕組みです。そこをすり抜けるため、安全な状態で開いているつもりの利用者ほど気づきにくいと考えられます。
攻撃の流れ
-
1
細工した設定
攻撃者が、悪意のあるMeson設定を含むプロジェクトを用意して渡します。
-
2
利用者が開く
開発者がそのプロジェクトをCLionで開きます。
-
3
Safe Modeを回避
Safe Modeのままでも、Mesonの設定が処理されます。
-
4
コード実行
開発者の端末で、攻撃者の意図したコードが動きます。
どう悪用されるか
CVSSのベクターでは、ネットワーク経由で、事前の認証なしに、複雑な条件も要らずに悪用できるとされています。ただし利用者の操作が必要で、細工されたプロジェクトを開発者がCLionで開く場面が想定されます。
悪用されると、機密性・完全性・可用性のすべてに高い影響が出ます。影響がCLionの外にも及ぶ評価（スコープの変更あり）なので、開発端末にあるソースコードや認証情報、そこから先の社内環境まで巻き込まれる恐れがあります。
今すぐやること
-
1
CLionを修正版に更新する
2026.2、または2026.1系を使い続ける場合は2026.1.4に更新します。複数の開発者がいる組織は、更新を周知し、完了を確認します。
-
2
JetBrainsの告知を確認する
JetBrainsのセキュリティ告知（修正済みの問題の一覧）で、この脆弱性の詳細や、ほかの製品への影響の有無を確認します。
-
3
更新が済むまで、受け取ったプロジェクトを開かない
外部のリポジトリや取引先から受け取ったMesonプロジェクトは、更新が終わるまでCLionで開かないよう開発者に伝えます。
-
4
過去に開いたプロジェクトを振り返る
出所の不確かなMesonプロジェクトをすでに開いた形跡があれば、その端末で不審なプロセスや外部への通信がないかを調べ、必要なら認証情報の更新も検討します。
すぐ更新できないとき
修正版をすぐ当てられない間は、出所の分からないプロジェクトや、信頼できない相手から受け取ったMesonプロジェクトをCLionで開かないことが、当面の備えになります。Safe Modeで開いても防げない点に注意してください。ベンダーが別の回避策を案内しているかは、JetBrainsの告知で確認します。
背景
CLionはJetBrainsのC/C++向け統合開発環境で、Mesonは主にC/C++で使われるビルドシステムです。開発者はMesonの設定ファイルを含むプロジェクトを開いて、そのままビルドやコード補完に使います。開発端末にはソースコード、SSH鍵、クラウドの認証情報が集まりやすく、そこで意図しないコードが動けば、被害は一台の端末にとどまりません。
Safe Modeは、中身を信頼できないプロジェクトを、実行を伴う機能を抑えて開くための仕組みです。今回の脆弱性は、その歯止めがMesonの設定を介して効かなくなる点が特徴です。「信頼できないプロジェクトはSafe Modeで開く」という運用をしている組織ほど、前提が崩れることになります。
よくある質問
Q.CLion以外のJetBrains製品も更新が必要ですか。
Q.更新できない端末では、Safe Modeで開けば安全ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| JetBrains | CLion |
2026.2,
2026.1.4 未満 |
2026.2,
2026.1.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In JetBrains CLion before 2026.2,
2026.1.4 code execution was possible in Safe Mode via Meson project settings
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve@jetbrains.com
- web nvd.nist.gov
- web jetbrains.com
- web github.com